符合安全設(shè)計(jì)規(guī)范的系統(tǒng)開發(fā)大全

　　自動(dòng)化程度的提高為人們?nèi)粘Ｉ钪械姆椒矫婷娑紟?lái)了更多的舒適性和靈活性，但我們也需要注意到這些好處背后的安全風(fēng)險(xiǎn)。尤其是工業(yè)領(lǐng)域中讓人引以為傲的高精密生產(chǎn)線，它們應(yīng)當(dāng)是易于使用，并能提供高度舒適和安全的操作性。

　　本文深切認(rèn)為技術(shù)系統(tǒng)不應(yīng)當(dāng)為人們和環(huán)境帶來(lái)超出允許風(fēng)險(xiǎn)范圍的安全風(fēng)險(xiǎn)。完全沒有風(fēng)險(xiǎn)是不現(xiàn)實(shí)的，所以風(fēng)險(xiǎn)可接受與否在于其嚴(yán)重程度。每個(gè)領(lǐng)域?qū)山邮茱L(fēng)險(xiǎn)程度都有自己的定義，并使用不同的安全等級(jí)對(duì)其進(jìn)行衡量。對(duì)于電氣和可編程系統(tǒng)來(lái)說(shuō)，得益于一系列標(biāo)準(zhǔn)建立，由此形成了關(guān)于功能安全的共識(shí)。這些標(biāo)準(zhǔn)適用于不同的應(yīng)用領(lǐng)域，但它們都基于由IEC61508標(biāo)準(zhǔn)派生出的安全理念。

　　圖1：常見的功能安全標(biāo)準(zhǔn)概覽

　　IEC61508標(biāo)準(zhǔn)覆蓋了系統(tǒng)的整個(gè)生命周期，并著重為系統(tǒng)中可能出現(xiàn)危險(xiǎn)的部分制訂了相關(guān)規(guī)范。該標(biāo)準(zhǔn)旨在提供從零開始設(shè)計(jì)系統(tǒng)的最安全方式。實(shí)現(xiàn)功能安全的普遍措施是添加額外的元器件，用于監(jiān)控功能的正常運(yùn)行以及在發(fā)生不正常的情況時(shí)對(duì)系統(tǒng)進(jìn)行控制。這個(gè)理念常用于工業(yè)自動(dòng)化或過(guò)程工業(yè)領(lǐng)域中。IEC61508標(biāo)準(zhǔn)定義了功能安全的操作模式：低要求操作模式、高要求操作模式和連續(xù)模式。操作模式則由每年對(duì)于安全功能的使用頻率決定。

　　同時(shí)，針對(duì)功能安全領(lǐng)域中的標(biāo)準(zhǔn)控制功能的設(shè)計(jì)方法是可選的，如航空器、汽車或家用電器。IEC61508標(biāo)準(zhǔn)中定義的連續(xù)模式包含這些信息。

　　通常做法是從分析所有可能對(duì)系統(tǒng)產(chǎn)生影響的關(guān)鍵問題開始。所有被定位的問題必須使用參數(shù)進(jìn)行衡量，如暴露時(shí)間、受傷的嚴(yán)重程度以及脫離傷害的可能性。這是典型的風(fēng)險(xiǎn)分析措施，必須在沒有額外電氣保護(hù)系統(tǒng)的情況下對(duì)受控設(shè)備施行。系統(tǒng)整個(gè)生命周期的所有部分均必須使用該措施。憑借風(fēng)險(xiǎn)圖，風(fēng)險(xiǎn)分析將提供要求的安全完整性等級(jí)（Safety Integrity Level， SIL）。在遵循ISO13849標(biāo)準(zhǔn)的情況下，風(fēng)險(xiǎn)圖將提供要求的性能等級(jí)（Performance Level， PL）。PL與SIL相似，均定義了安全等級(jí)。在設(shè)計(jì)安全PLC（Safety PLC）、安全變頻驅(qū)動(dòng)器（Safety Drive Inverter）或安全編碼器（Safety Encoder）等安全元器件時(shí)，通常的做法是從機(jī)器制造商處獲得要求的安全等級(jí)。要求的安全等級(jí)旨在將風(fēng)險(xiǎn)降低至允許風(fēng)險(xiǎn)范圍內(nèi)。SIL必須通過(guò)安全功能得以滿足，安全功能將由一系列安全元器件或安全設(shè)備實(shí)現(xiàn)。這就意味著單一的元器件無(wú)法滿足SIL，僅能用作安全鏈中的一部分。

　　為了滿足SIL要求，該標(biāo)準(zhǔn)涵蓋了兩種失效情況。第一類包含隨機(jī)失效以及所有類型的隨機(jī)硬件失效，而第二類包含所有系統(tǒng)失效。

　　隨機(jī)失效

　　隨機(jī)失效基于不同的參數(shù)進(jìn)行計(jì)算得出，如元器件的失效概率（λ）、診斷覆蓋率（Diagnostic Coverage， DC）、硬件故障裕度（Hardware Fault Tolerance， HFT）、共同失效原因（β）以及測(cè)試間隔。事實(shí)上，安全與否不是與生俱來(lái)的，對(duì)于系統(tǒng)出現(xiàn)故障并進(jìn)入到不安全狀態(tài)的情況，IEC61508標(biāo)準(zhǔn)僅涵蓋檢測(cè)不到、不安全的失效概率并根據(jù)合適的模式具體說(shuō)明各類限制，PFD（根據(jù)要求的失效概率，Probability of Failure on Demand）適用于低要求操作模式，PFH（每小時(shí)的失效概率，Probability of Failure per Hour）適用于高要求操作模式和連續(xù)模式。舉個(gè)例子，SIL 3安全功能僅限于千年一遇的危險(xiǎn)失效。反之，低要求操作安全功能（PFD）不應(yīng)當(dāng)發(fā)生平均1000次安全要求出現(xiàn)1次失效的情況。作為額外的驗(yàn)收標(biāo)準(zhǔn)，IEC61508要求安全失效分?jǐn)?shù)處于指定的SFF（安全失效分?jǐn)?shù)，Safe Failure Fraction）范圍內(nèi)，這取決于HFT和SIL。

　　表1：安全完整性等級(jí)的PFD和PFH值

　　表2：安全失效分?jǐn)?shù)與硬件故障裕度的關(guān)系

　　危險(xiǎn)失效的失效概率可通過(guò)實(shí)現(xiàn)診斷功能和冗余得以降低。冗余度需要參照硬件故障裕度（HFT）。HFT值為0的系統(tǒng)發(fā)生1次失效即可產(chǎn)生危險(xiǎn)。也就是說(shuō)，HFT值為N的系統(tǒng)能夠承受N-1次失效。如果診斷單元能夠檢測(cè)到故障并將系統(tǒng)引入安全狀態(tài)，局部診斷覆蓋即可降低重大失效帶來(lái)的影響（?du = ?d·（1-DC））。除了故障（硬錯(cuò)誤，Hard-Error）導(dǎo)致的元器件失效概率，設(shè)計(jì)工程師還必須盡量減少軟錯(cuò)誤（Soft-Error）。在測(cè)算時(shí)，軟錯(cuò)誤率是非常關(guān)鍵的一點(diǎn)，因?yàn)橄啾扔插e(cuò)誤導(dǎo)致的失效率，軟錯(cuò)誤率會(huì)提升。

　　FPGA器件的領(lǐng)先制造商萊迪思半導(dǎo)體公司為客戶提供適用于所有推薦的安全元器件的失效概率和軟錯(cuò)誤率數(shù)據(jù)。
本文選自電子發(fā)燒友《安防技術(shù)特刊》，更多優(yōu)質(zhì)內(nèi)容，馬上下載閱覽